Datenleak: Die Fehler, die 0rbit überführten

Er ließ sich bei einem Hack erwischen, vermischte seine Pseudonyme und redete zu viel - Johannes S. hinterließ viele Spuren. Trotzdem brauchte die Polizei offenbar einen Hinweisgeber, um ihn als mutmaßlichen Täter im Politiker-Hack zu überführen.

Artikel veröffentlicht am 11. Januar 2019, 11:41 Uhr, Moritz Tremmel

Auch Fehler, die lange her sind, können einen später eventuell hinter Gitter bringen. (Bild: Luis Prado from The Noun Project/CC-BY 3.0)

Der mutmaßliche Täter im Politiker-Hack hat einige gravierende Fehler gemacht, die zu seiner Entdeckung führten. Mit einem VPN, verschiedenen Identitäten und einer 32-mal überschriebenen Festplatte wollte sich Johannes S. der Strafverfolgung entziehen - scheiterte aber an einigen Stellen bei der Umsetzung. Auch äußerte er sich allzu freimütig zu seinen Aktivitäten im Internet, was schließlich zu seiner Ergreifung durch die Polizei führte.

So schildert es der Heilbronner Jan Schürlein, der mit Johannes S. seit Jahren per Internet in Kontakt stand, in einer Stellungnahme und einem Interview mit dem ARD-Politikmagazin Kontraste Der entscheidende Fehler unterlief Johannes S. demnach bereits 2016, als er sich noch Nullr0uter/NFO nannte und die Konten der Youtuber Jan Meyer (ApeCrime) und Br4mm3n (PietSmiet) übernahm.

Um seine IP-Adresse zu verschleiern, setzte er dabei auf einen VPN. Allerdings hatte er keinen Killswitch eingerichtet. Das bedeutet, dass im Falle eines VPN-Ausfalls unter der IP-Adresse des Internetanschlusses weiter gesurft wird - und genau das geschah. Sein VPN fiel aus und die IP-Adresse des Internetanschlusses wurde in der Verbindungshistorie der Benutzerkonten von Jan Meyer und Br4mm3n gespeichert.

Polizei durchsuchte Haus des Verdächtigen schon 2016

Die Youtuber erstatteten Anzeige, die Ermittlungsbehörden erfragten die Verbindungsdaten und ordneten die IP-Adresse dem Elternhaus von Johannes S. zu, das sie am 6. Oktober 2016 durchsuchten. Dieser berichtete Schürlein nach dessen Darstellung live: "Die Bullen stehen gerade vor der Tür". Johannes S. war mit seinem Alias Nullr0uter in den Akten der Polizei gelandet. Die Ermittlungsbehörden verschleppen jedoch das Verfahren. Das sei nicht ungewöhnlich, wenn die Geräte verschlüsselt seien, meint Schürlein.

Irgendwann begann Johannes S., das Pseudonym 0rbit zu nutzen, allerdings folgte er mit diesem auch seinen alten Konten unter dem Alias Nullr0uter. Selbst die Schreibweise ähnelte sich etwas. Auch als er sich Zugriff auf die Daten von Politikern und Prominenten verschaffte und sie im Dezember 2018 via Twitter öffentlich machte, verwendete er beide Pseudonyme. Es wäre für die Polizei also möglich gewesen, 0rbit mit dem Pseudonym Nullr0uter in ihren Akten zu verknüpfen und so direkt als den polizeibekannten Johannes S. zu identifizieren. Allerdings geschah das offenbar erst auf einen Hinweis von Schürlein hin.

Die Polizei war auf Schürlein aufmerksam geworden, weil er immer wieder in Kontakt mit 0rbit gestanden hatte und dies auch öffentlich machte. Am 6. Januar 2019 durchsuchte das BKA seine Wohnung und vernahm ihn als Zeugen. Schürlein will dabei den entscheidenden Hinweis geliefert haben, nämlich dass die Polizei bereits 2016 das Haus von Johannes S. durchsucht hatte. Sicherheitskreise bestätigten dem Politmagazin Kontraste, dass Schürleins Aussage wesentlich zur Identifizierung des Verdächtigen beigetragen habe.

"Von mir aus hätte ich mich bei den Behörden nicht gemeldet. Da das BKA aber so einen Druck aufgebaut hat, habe ich eben kooperiert und die gesamten Infos, die ich dazu habe, herausgegeben - beziehungsweise dieses eine brisante Detail", sagte Schürlein Kontraste. In der Folge wurde Johannes S. festgenommen und dessen Zuhause durchsucht. Er soll die Festplatte seines Computers 32-mal überschrieben und den Rechner anschließend ordnungsgemäß auf dem Recyclinghof entsorgt haben.

Rechte Einstellung

Vom Politiker-Hack sind wenig rechte Politiker betroffen, die AfD fehlt komplett. Nicht auszuschließen ist, dass dies mit einer rechten Gesinnung 0rbits zusammenhängt. Dieser hatte die Datenleaks damit begründet, dass er sich über öffentliche Äußerungen der betroffenen Personen geärgert habe. Laut Schürlein äußerte sich Johannes S. abgrundtief negativ über Flüchtlinge. Die Aktion "Reconquista Internet" des Satirikers Jan Böhmermann soll Johannes S. provoziert haben. Böhmermann wandte sich mit der Aktion gegen rechten Hass im Internet und die rechtsradikale Hassbewegung "Reconquista Germanica" und war ebenfalls Ziel von Johannes S.